Dans le tour d'horizon de cette semaine, CTI se penche sur un programme de vol d'informations écrit en Python, baptisé Emansrepo, qui se propage par e-mail et comporte trois chaînes d'attaque distinctes. Dans la suite de cet article, CTI se penche sur un rapport récent de Palo Alto portant sur 19 domaines de premier niveau (TLD) lancés au cours de l'année écoulée. Enfin, CTI conclut par une présentation générale de KTLVdoor, une nouvelle porte dérobée multiplateforme mise au point par l'acteur malveillant sinophone connu sous le nom d'Earth Lusca.
1. Le logiciel malveillant Emansrepo Stealer se propage par e-mail
Les chercheurs de Fortinet ont récemment identifié un logiciel de vol d'informations (infostealer) écrit en Python et de type « », baptisé Emansrepo , qui se propage par le biais d'e-mails contenant de faux bons de commande et de fausses factures.
Selon Fortinet, ce logiciel malveillant compresse les données provenant des navigateurs et des fichiers avant de les exfiltrer. Cette campagne est en cours depuis le novembre 2023.
Les chaînes d'attaque d'Emansrepo
Les chercheurs ont observé trois chaînes d'attaques Emansrepo distinctes entre juillet et août 2024. D'après leurs conclusions, les chaînes d'attaque de cette campagne semblent gagner en complexité.
- La première chaîne contient une pièce jointe à un e-mail comprenant un programme de dépose se faisant passer pour une page de téléchargement. Selon Fortinet, il crée un élément de lien qui pointe vers les données de « Purchase-Order.7z », utilise la méthode click() pour « télécharger » le fichier 7z , puis redirige vers un site web sans rapport avec celui-ci. Le fichier compressé contient également un exécutable compilé avec AutoIT, qui intègre des modules Python destinés à dérober des informations.
- Dans la deuxième chaîne, l'e-mail contient un fichier ZIP renfermant un fichier HTA. Il utilise un fichier source JavaScript pour télécharger un script PowerShell destiné à l'étape suivante.
- La troisième chaîne d'attaque consiste en un e-mail de hameçonnage contenant un lien vers un fichier batch obscurci. Cela permettra de télécharger et d'exécuter le script PowerShell.
Le logiciel malveillant d'Emansrepo
Le logiciel de vol d'informations stocke les données volées dans des dossiers temporaires, les transmet à l'auteur de la menace, puis supprime ces informations.
Ce logiciel malveillant tentera de collecter diverses informations, telles que vos identifiants de connexion, vos données de carte bancaire, votre historique de navigation et vos téléchargements. Il copiera ensuite les fichiers PDF contenus dans les dossiers « Bureau », « Documents », « Téléchargements » et « Récent », et compressera les dossiers dédiés aux extensions de navigateur, aux portefeuilles cryptographiques et bien plus encore. Le logiciel malveillant copiera également les fichiers cookies et compressera les données au format ZIP.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Outre le fait qu’il fait évoluer en permanence sa chaîne d’attaque, l’acteur utilise plusieurs chaînes à la fois — ou, du moins, passe très rapidement de l’une à l’autre.
Heureusement, toutes ces chaînes d'attaques semblent débuter par des e-mails de hameçonnage de type « » , qui utilisent le stratagème classique de la commande d'achat ou de la facture, souvent abordé dans les supports de formation à la sensibilisation à la sécurité.
2. Palo Alto fait le point sur les domaines de premier niveau dans un nouveau rapport
Dans son dernier rapport, Palo Alto passe en revue 19 nouveaux domaines de premier niveau (TLD) qui ont été lancés au cours de l'année écoulée.
Leur enquête a mis au jour plusieurs campagnes de hameçonnage à grande échelle, ainsi que la diffusion de programmes potentiellement indésirables. Il semble également exister une corrélation entre la date de mise à disposition générale des nouveaux TLD et leur popularité.
Phases de déploiement des TLD
Le rapport indique que les TLD sont mis en place par étapes. Chaque TLD est répertorié dans une base de données faisant autorité — ou registre — et doit être approuvé avant d'être mis à disposition.
Une fois approuvés, ils passent par plusieurs phases, notamment la phase « sunrise », la phase « landrush », la phase d'accès anticipé et la mise à disposition générale.
- Pendant la phase obligatoire de « sunrise », l'enregistrement n'est accessible qu'aux personnes disposant d'un enregistrement de marque validé.
- Au cours de la phase de « landrush », l'enregistrement de noms de domaine spécifiques ou haut de gamme est ouvert au grand public. Parfois, cela débouche sur une vente aux enchères.
- Certains TLD feront l'objet d'une période d'accès anticipé au cours de laquelle il sera possible d'enregistrer un nom de domaine à un prix majoré avant le lancement officiel.
- Enfin, le TLD passe en phase de disponibilité générale et est mis à la disposition du public.
- Sources des données
Les travaux de recherche de Palo Alto portent sur 19 TLD qui ont été lancés récemment ou qui se trouvent dans l'une des phases susmentionnées avant leur mise à disposition générale. Parmi ces TLD, on trouve notamment : .bot, .box, .case, .channel, .dad, .esq, .foo, .ing, .lifestyle, .living, .meme, .mov, .music, .nexus, .phd, .prof, .vana, .watches et .zip.
Études de cas
Palo Alto a utilisé un système de détection basé sur des graphes pour analyser des domaines, extraire des données associées et générer des visualisations. Les chercheurs ont soumis chaque graphe à un processus de regroupement afin d'identifier des points communs. Les résultats mettent en évidence des attaques de hameçonnage à grande échelle, la diffusion de programmes potentiellement indésirables (PUP), des campagnes de farces ou de mèmes, ainsi que des sites de partage de fichiers via torrent.
Un groupe d'activités a mis au jour un leurre qui incite les victimes à scanner un code QR. Cette attaque vise à inciter la victime à envoyer des SMS et tente de l'exposer à diverses escroqueries, à du spam et à des campagnes de collecte de données. Au total, 92 domaines relevant du TLD « .bot » ont été utilisés dans le cadre de cette campagne.
Vous trouverez d'autres études de cas et des campagnes identifiées sur , ainsi que dans le rapport de Palo Alto intitulé « ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'analyse de Palo Alto met en évidence certains points intéressants. Par exemple, cela confirme que les acteurs ont tendance à suivre de près et à exploiter l'évolution du paysage des menaces en tirant parti des événements d'actualité majeurs, des nouvelles technologies, des vulnérabilités émergentes et des nouveaux TLD.
Leurs recherches démontrent également à quelle vitesse les acteurs malveillants peuvent exploiter et détourner les TLD dès leur création. C'est pourquoi il est important de faire preuve de vigilance vis-à-vis de tous les noms de domaine, en particulier ceux qui semblent suspects.
3. Earth Lusca déploie une nouvelle porte dérobée multiplateforme
Selon un rapport récent de Trend Micro, l'acteur malveillant de langue chinoise connu sous le nom d'Earth Lusca utilise désormais une nouvelle porte dérobée multiplateforme de type « » appelée KTLVdoor.
Cette porte dérobée, que fait passer pour différents utilitaires système, a été détectée dans le cadre d'une attaque à grande échelle touchant plus de 50 C2 serveurs. À ce stade, les chercheurs n'ont identifié qu'une seule cible confirmée de cette opération, à savoir une société commerciale basée en Chine.
Analyse du logiciel malveillant KTLVdoor
Cette nouvelle porte dérobée est fortement dissimulée et se fait passer pour différents utilitaires système. Les acteurs utilisent cet outil pour diverses tâches, notamment la manipulation de fichiers, l'exécution de commandes et l'analyse de ports à distance. Des chercheurs ont découvert une version de ce logiciel malveillant pour Windows et Linux.
- de l'obfuscation du logiciel malveillant : comme indiqué, ce logiciel malveillant est fortement obfusqué. Trend Micro constate que de nombreuses chaînes intégrées sont illisibles, que les symboles ont été supprimés et que la plupart des fonctions et des modules ont été renommés avec des chaînes d'apparence aléatoire.
- de configuration : la première étape du logiciel malveillant consiste à initialiser les paramètres de configuration de l'agent, qui sont chiffrés par XOR et dont la valeur est Base64-encoded. Le format de fichier est un format TLV-live personnalisé, précédé de « KTLV ». La structure HostInfo fait partie de la structure de configuration ; elle contient des paramètres relatifs à la machine infectée, notamment le nom d'utilisateur, l'adresse IP, le nom d'hôte, le nom du processus, le système d'exploitation, les disques, la durée de fonctionnement, le temps de veille, etc.
- des paramètres de connexion : les C2 serveurs sont stockés sous la forme de la valeur « connect », qui est chiffrée selon le protocole AES-GCM, et Base64-encoded.
- de communication : Une fois l'initialisation réussie, l'agent entamera une boucle de communication avec un serveur C2 . Cette communication permet d'envoyer et de recevoir des messages compressés au format GZIP et chiffrés. Les messages peuvent être transmis en mode simplex ou duplex.
- des tâches reçues : l'agent mettra en œuvre des gestionnaires pour traiter les tâches qu'il reçoit du C2. Ces gestionnaires permettent notamment de télécharger et de mettre en ligne des fichiers, de lancer des shells interactifs, et bien plus encore.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Trend Micro a recensé plus de 50 C2 serveurs, ce qui représente un chiffre extrêmement élevé — d'autant plus qu'il n'y a qu'une seule cible confirmée. Cela pourrait indiquer que des essais préliminaires sont en cours.
Cet outil serait lié à Earth Lusca, un acteur sinophone. Mais comme les acteurs sinophones partagent souvent les mêmes outils, il est possible que cet outil se généralise à l'avenir.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
